@binux 这位大侠解释的通俗易懂啊，具体实现我得细细琢磨，感谢

@zzNucker 前台页面虽然是静态的，但是可以在静态页面加载的时候通过ajax向后台请求数据，可以达到动态页面效果。我的质疑是，如果有人获取到了我的cookie，并且知道了sessionid，就可以通过伪造请求来请求数据，所以我觉得安全性极差，可是不知如何改善?

@PrideChung 我用jQuery.ajax提交到后台某action，不是自己跟自己玩

@undeadking
@PrideChung
我是用JQuery.ajax来处理纯静态页面表单值，所以我也需要考虑CSRF攻击。不知这种处理方式常见不?
另外我对我这样的做法的安全性很质疑，不知除了token以外还有什么需要改进?或者说一般的安全措施是什么?

@PrideChung
@undeadking
我是一个学生，还在学习中，因为我用的是纯静态页，不能范围取值，我能想到给表单赋值的方法只有ajax，我看了那个连接的内容，php一个范围取值就实现了hidden的赋值，的确很方便，如果我这种情况，改用动态页应该更合适吧

@zzNucker 原来是这样，那就是我每次请求完的时候，session中token值就开始变化，并且赋值给前端咯？

@siw 刚才我看了那个隐藏域中的值，我刷新后发现值没有发生改变，也就是说，刷新的时候并不是给隐藏域赋值的时机，那是通过什么方式，什么时机下给隐藏域赋值？

@siw 这个意思就是从服务器端取出token值存入隐藏域中吧，这应该是通过ajax实现的吧？但是我有一个疑问，这个取值是在用户登录之后一次性取值之后存在客户端，以后每次请求都会发送token值？还是说我每次请求都要取一次token，然后传token给服务端？

@PrideChung

@siw
我还想问的是客户端如何获取token值呢？不是服务器，说错了

@siw 你的解释我大概懂了，那么服务器该如何获取session中的token值呢？

@PrideChung 你这个解释很到位了已经

@zzNucker 如果不用form提交，而是用js提交ajax参数，这样不需要token吗？

巨山寨了吧我擦

@cxe2v 其实url可以一样的对吧

接着顶起

弱弱的说，DWR没人用吗？

顶一顶

@rwx 我是没有想过sql注入这个东西

@jimrok 懂你意思了，万分感谢